یکی از این مشکلات امنیتی با شناسه CVE-2026-67276 ردیابی شده است؛ نقصی از نوع دورزدن احراز هویت SSH در MikroTik RouterOS که بر اثر اعتبارسنجی ناقص کلیدهای عمومی RSA ایجاد می‌شود.
مهاجمی که یک نام کاربری و مدول عمومیِ کلید آن کاربر را بداند، می‌تواند با ساختن کلیدی متفاوت و ورود بدون در اختیار داشتن کلید خصوصیِ معتبر از این نقص سوءاستفاده کند.
مشکل امنیتی دوم با شناسه CVE-2026-86060 شناخته می‌شود. این نقصِ ارتقای سطح دسترسی در SSH روی MikroTik RouterOS به دلیل رسیدگی نادرست به نام‌های کاربریِ به‌طور خاص ساخته‌شده است.
مهاجمان می‌توانند با استفاده از نام کاربریِ به‌طور خاص ساخته‌شده نشست SSH را دستکاری کنند تا امتیازهای مدیریتیِ کامل به دست آورند.
هر دو آسیب‌پذیری توسط نهاد CERT لهستان با کمک GPT-5.5-cyber و GPT-5.6-sol کشف شده و با سطح وخامت بحرانی ارزیابی شده‌اند.
این نهاد لهستانی این زنجیره اکسپلویت را «MikroTrick» نام‌گذاری کرد و هشدار داد که اکنون به‌طور فعال در محیط واقعی مورد سوءاستفاده قرار می‌گیرد.
«در روزهای اخیر، حملاتی علیه دستگاه‌های RouterOS که از اینترنت قابل دسترس‌اند مشاهده شده است»، نهاد CERT هشدار می‌دهد.
«تأیید شده است که مهاجمان از این ترکیب آسیب‌پذیری‌ها برای در اختیار گرفتن کامل کنترل دستگاه‌هایی که سرویس SSH آنها از شبکه‌های عمومی قابل دسترس است سوءاستفاده می‌کنند.»
نهاد CERT لهستان همچنین به نقص سومی با شناسه CVE-2026-67277 اشاره کرد که سرویس bandwidth-test در RouterOS را تحت تأثیر قرار می‌دهد و به مهاجمانِ بدون احراز هویت اجازه می‌دهد حافظه کرنل را نشت دهند یا روتر را از راه دور از کار بیندازند/راه‌اندازی مجدد کنند.
شرکت MikroTik این آسیب‌پذیری‌ها را برطرف کرده است در نسخه‌های RouterOS 7.25beta3، 7.24.2، 7.23.4 و 6.49.21 که در 3 سپتامبر منتشر شدند، و نهاد CERT لهستان این اصلاحات را تأیید کرده است.
در اطلاعیه خود، سازنده یادآور شده است که همه پیکربندی‌ها تحت تأثیر نیستند، اما برای دادن فرصت به کاربران جهت اعمال به‌روزرسانی‌های امنیتی، جزئیاتی افشا نشده است.
این به‌روزرسانی‌ها سازوکار «تشخیص نفوذ» را به روترها می‌افزایند که در زمان راه‌اندازی به‌دنبال نشانه‌های شناخته‌شده از تغییرات غیرمجاز در پیکربندی می‌گردد، مدخل‌های مخرب را غیرفعال می‌کند و یک هشدار بحرانی ثبت می‌کند.
با این حال، CERT اشاره می‌کند که نبودِ نشانگری که بر نفوذ دلالت کند نباید به‌منزلهٔ تضمینِ عدم نفوذ به روتر تلقی شود.
CERT شاخص‌های نفوذ (IoCs) زیر را به‌اشتراک گذاشته است:
- موارد لاگ: ‘login failure for user -2 from <ip> via ssh’ و ‘user <name> added by ssh:-2@<ip>’
- وجود یک حساب ops با سطح دسترسی بسیار بالا
- 82.192.72.4 — مرتبط با حملات موفق تأییدشده
- 103.102.31.18 — مشاهده شده که برای بهره‌برداری از MikroTrick تلاش می‌کند
در صورت ظن به نفوذ، نهاد لهستانی توصیه می‌کند روتر ایزوله شود، لاگ‌ها و پیکربندی حفظ شوند، سپس دستگاه به تنظیمات کارخانه بازگردانده شود و بر پایه یک پیکربندی مورداعتماد دوباره راه‌اندازی گردد؛ هم‌زمان گذرواژه‌ها، کلیدها و دیگر اسرار چرخش داده شوند.
برای کسانی که بلافاصله قادر به اعمال به‌روزرسانی‌ها نیستند، توصیه شده است دسترسی خدمات SSH، WWW/WWW-SSL و bandwidth-test که از بیرون قابل دسترسی‌اند را محدود یا غیرفعال کنند، و از کلاینت‌های SSH داخلی و اتصال‌های TLS خروجی روی شبکه‌های غیرقابل‌اعتماد پرهیز کنند.
تا 5 سپتامبر، بر اساس داده‌های ارائه‌شده توسط The ShadowServer Foundation، 122,500 دستگاه MikroTik با اینترفیس SSH در معرض دید وجود داشت. با این حال، تعداد دقیق دستگاه‌هایی که در برابر اکسپلویت MikroTik آسیب‌پذیر بودند مشخص نشد.
